Das 1x1 der Internen Revision

Transkript

1

2 DIIR-FORUM Band 10

3 Das 1x1 der Internen Revision Bausteine eines erfolgreichen Revisionsprozesses Von Michael Bünis und Thomas Gossens 2., neu bearbeitete und erweiterte Auflage

4 Bibliografische Information der Deutschen Nationalbibliothek Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über dnb.ddb.de abrufbar. Weitere Informationen zu diesem Titel finden Sie im Internet unter ESV.info / Auflage Auflage 2018 Die Angaben in diesem Werk wurden sorgfältig erstellt und entsprechen dem Wissensstand bei Redaktionsschluss. Da Hinweise und Fakten jedoch dem Wandel der Rechtsprechung und der Gesetzgebung unterliegen, kann für die Richtigkeit und Vollständigkeit der Angaben in diesem Werk keine Haftung übernommen werden. Gleichfalls werden die in diesem Werk abgedruckten Texte und Abbildungen einer üblichen Kontrolle unterzogen; das Auftreten von Druckfehlern kann jedoch gleichwohl nicht völlig ausgeschlossen werden, sodass aufgrund von Druckfehlern für fehlerhafte Texte und Abbildungen ebenfalls keine Haftung übernommen werden kann. Gedrucktes Werk: ISBN ebook: ISBN Alle Rechte vorbehalten Erich Schmidt Verlag GmbH & Co. KG, Berlin Dieses Papier erfüllt die Frankfurter Forderungen der Deutschen Bibliothek und der Gesellschaft für das Buch bezüglich der Alterungsbeständigkeit und entspricht sowohl den strengen Bestimmungen der US Norm Ansi / Niso Z als auch der ISO Norm Satz: multitext, Berlin Druck und Bindung: Difo-Druck GmbH, Bamberg

5 Vorwort zur zweiten, aktualisierten und erweiterten Auflage Schon im zweiten Jahr nach Erscheinen des 1x1 der Internen Revision können wir Ihnen die zweite Auflage vorstellen. Wir freuen uns über den guten Absatz und die ermutigenden Kritiken, die die erste Auflage gefunden hat. Dies hat uns darin bestätigt, dass es sinnvoll ist, branchenübergreifend eine strukturierte Anleitung zu den wichtigsten Fragestellungen der Internen Revision anzubieten, die in dieser kompakten Form in Deutschland noch nicht verfügbar war. Nach wie vor orientieren wir uns an den Internationalen Standards für die berufliche Praxis der Internen Revision. Wir sind überzeugt davon, dass die Standards einen sinnvollen Rahmen setzen, innerhalb dessen jede Interne Revision, gleich in welcher Branche und welcher Größe, im Sinne der global anerkannten und einheitlichen Mission, den Wert einer Organisation durch risikoorientierte und objektive Prüfung, Beratung und Einblicke zu erhöhen und zu schützen, mehrwertstiftend tätig werden kann. Wir haben uns trotz des Wunsches nach einer knapp gehaltenen Einführung dazu entschieden, anlässlich der zweiten Auflage Erweiterungen in das Werk aufzunehmen. Dies betrifft ausführlichere Kommentierungen zu den wichtigen Anforderungen der Unabhängigkeit und der Objektivität sowie zur Auswahl von Prüfungselementen (Stichproben). Wir haben in die zweite Auflage die Erweiterungen und Änderungen in den Internationalen Standards des Jahres 2017 sowie die empfohlenen Implementierungsleitlinien des IIA aufgenommen, die die Praktischen Ratschläge abgelöst haben. Mit dem DIIR Revisionsstandard Nr. 3 liegt seit 2017 ein nationaler Leitfaden für die Durchführung von Wirksamkeitsprüfungen der Internen Revision vor. Diesen haben wir ebenso berücksichtigt wie die Mindestanforderungen an die Geschäftsorganisation von Versicherungsunternehmen (MaGo) und die neuen Mindestanforderungen an das Risikomanagement (MaRisk), die seit Ende 2017 für Banken und Kapitalverwaltungsgesellschaften gelten. Das Stichwortverzeichnis haben wir wesentlich erweitert, sodass das 1x1 der Internen Revision auch als Nachschlagewerk geeignet ist. Beim Erich Schmidt Verlag bedanken wir uns für die gute und vollkommen reibungslose Zusammenarbeit. Den Lesern wünschen wir weiterhin viel Spaß beim Lesen und viel Erfolg in der Umsetzung. Korschenbroich und Düsseldorf, im Februar 2018 Michael Bünis, CIA CRMA Thomas Gossens, CIA CISA CRISC 5

6 Vorwort zur ersten Auflage Die Funktion der Internen Revision ist seit Jahrzehnten in den meisten Unternehmen und Institutionen nennenswerter Größe etabliert. Hierbei zeichnet sich die Revisionsfunktion in den Augen Außenstehender insbesondere dadurch aus, dass sie Prüfungsaufträge ausführt, Fehlverhalten und Mängel konsequent aufzeigt und die Umsetzung von Verbesserungen überwacht. Vor dem Hintergrund der Weiterentwicklung der Corporate Governance und der zunehmenden Etablierung weiterer Bereiche mit Aufgaben im Zusammenhang mit der Unternehmensüberwachung hat sich auch die Funktion der Internen Revision in den letzten Jahren deutlich verändert und weiterentwickelt. Zu nennen sind insbesondere die Entwicklung und Weiterentwicklung des International Professional Practices Framework (IPPF) des Institute of Internal Auditors (IIA) oder des Information Technology Assurance Framework (ITAF) der Information Systems Audit and Control Association (ISACA). Speziell das aufgrund seiner Einfachheit überzeugende Three Lines of Defense- Modell der Unternehmensüberwachung verdeutlicht die besondere Stellung der Internen Revisionsfunktion in der Corporate Governance: Sie verfügt mit ihrer Unabhängigkeit gegenüber allen operativen Prozessen über ein besonderes Alleinstellungsmerkmal. Neben den organisatorischen Grundlagen haben sich auch die Anforderungen an die Arbeit der Internen Revision verändert. Die Themen Qualitätssicherung, Dokumentation, Berichterstattung, Risikoorientierung und Beratung haben an Bedeutung gewonnen. Eine wirksame und professionelle Revisionsarbeit ist ohne Einsatz von Revisions- und Prüfsoftware nicht mehr möglich und interne und externe Quality Assessments gehören für den Großteil der Revisionseinheiten wie selbstverständlich zum Qualitätssicherungs- und -verbesserungsprogramm dazu. Uns erscheint es sinnvoll, den aktuellen Stand aufzunehmen und in einem knapp gehaltenen Buch über die Interne Revision übersichtlich darzustellen. Es war nicht unsere Absicht, alle Facetten der Internen Revision ausführlich zu beleuchten. Vielmehr stellen wir die wesentlichen Aspekte der Revisionsfunktion prägnant dar und geben bei wichtigen Fragen Antworten hinsichtlich Good oder Best Practices. Unser Ziel ist es, den Leser schnell und umfassend über die wesentlichen Aspekte der Internen Revision zu informieren und dabei die Bausteine einer erfolgreichen Internen Revision aufzuzeigen. Dieses Buch ist als Unterstützung für Praktiker bei der täglichen Arbeit gedacht und kann als Vorbereitung auf eine Zertifizierung genutzt werden. Einsteigern ermöglicht es, die wesentlichen Elemente einer erfolgreichen Internen Revision kurz und praxisorientiert kennenzulernen und dadurch einen schnellen Einstieg in das Thema Interne Revision zu bekommen. Daher ist es auch für Studierende, die sich mit Corporate Governance und Interner Revi- 7

7 Vorwort zur ersten Auflage sion befassen eine gute Möglichkeit, sich schnell über die Praxis der Internen Revision zu informieren. Basis sind hierbei die global einheitlichen, verbindlichen Internationalen Standards für die berufliche Praxis der Internen Revision, die (mit Stand von Ende 2015) vollständig zitiert, im jeweiligen Sachzusammenhang erläutert und bezüglich der Umsetzung mit wichtigen Praxistipps für die gelungene Umsetzung versehen werden. Es ist uns wichtig in diesem Buch nicht nur auf aktuelle Themen einzugehen, sondern insbesondere die Grundlagen der Revisionsarbeit darzustellen. Es handelt sich um kein neues Thema. Wir wollen noch einmal an Nicolai Gogols Komödie Der Revisor aus dem Jahr 1836 erinnern. Dort wird ein Verständnis der Revision widergegeben, das viele Jahre das Bild in den Unternehmen und der Öffentlichkeit geprägt hat. Die Unterhaltung verläuft ungefähr so: A: Ich bat Sie her, meine Herren, um Ihnen eine überaus unerfreuliche Nachricht zu übermitteln. Ein Revisor ist auf dem Weg zu uns. B: Ein Revisor? C: Da haben wir den Salat! B: Wir lebten so sorglos. Nun schlägt s Dreizehn. D: Großer Gott! C: Eine ungewöhnliche Sache, schlechthin ungewöhnlich. Das muss seinen Grund haben. D: Weshalb denn, wieso denn das? Weswegen kommt zu uns ein Revisor? A: Weswegen? Weil es das Schicksal offenbar so will. Dem Himmel sei Dank. Bis jetzt machten sie sich immer nur an Andere. Jetzt ist die Reihe an uns gekommen. (nach Nikolai Gogol Der Revisor, 1836, 1. Akt, 1. Auftritt) Leser, die die Anregungen in diesem Buch beherzigen, tun viel dafür, dass die Revision für die Geprüften nicht zu einem Schicksalsschlag wird. Und sie werden nach der Lektüre wissen, dass Gogols Revisor immerhin eines richtig gemacht hat: Er hat eine Prüfungsankündigung erstellt. Über Kommentare und Anmerkungen zu unserem Buch würden wir uns sehr freuen. Wir wünschen viel Spaß beim Lesen und viel Erfolg in der Umsetzung. Korschenbroich und Düsseldorf im Februar 2016 Michael Bünis, CIA, CRMA Thomas Gossens, CIA, CISA, CRISC 8

8 Inhaltsverzeichnis Vorwort zur zweiten, aktualisierten und erweiterten Auflage. 5 Vorwort zur ersten Auflage Abbildungsverzeichnis Grundlagen der Internen Revision Unternehmerische Überwachungsfunktion: Warum Interne Revision? Betriebswirtschaftliche und rechtliche Grundlagen Internationale Grundlagen für die berufliche Praxis der Internen Revision (IPPF) Mission und Grundprinzipien Definition Ethikkodex Standards des IIA Exkurs: ISACA IT Audit/Assurance Framework (ITAF) Grundlagen der Internen Revision in Deutschland Mindestanforderungen an das Risikomanagement (MaRisk) als Best Practice Ansatz DIIR Revisionsstandards Aufbau- und Ablauforganisation der Internen Revision Geschäftsordnung der Internen Revision Unabhängigkeit und Objektivität Begriffe und Bedeutung Kriterien für organisatorische Unabhängigkeit Kriterien für persönliche Objektivität Mögliche Beeinträchtigungen der organisatorischen Unabhängigkeit Mögliche Beeinträchtigungen der persönlichen Objektivität Steuerung von Bedrohungen der Objektivität Jährliche Überprüfung und Berichterstattung Revisionshandbuch Fachkompetenz und Führung in der Internen Revision Planung in der Internen Revision Prüfungslandkarte: Die Prüfungsobjekte der Internen Revision Risikoorientierte Prüfungsplanung Die Notwendigkeit der Risikoorientierung in der Revisionsplanung Prämissen einer praxistauglichen, risikoorientierten Revisionsplanung Kapazitätsplanung

9 Inhaltsverzeichnis Jahresplanung in zwei Schritten a. Erster Schritt: Mehrjahresplanung b. Zweiter Schritt: Jahresplanung Vorteile des beschriebenen Verfahrens Die Methode der allgemeinen Organisationsprüfung Der Prüfungsprozess der Internen Revision Einleitung Prüfungsplanung Verteilung der Rollen und Tätigkeiten Auswahl des Prüfungsleiters und der Teammitglieder Identifikation der Prüfungsgrundlagen Vorbereitung des Arbeitsprogramms und fachliche Durchdringung des Prüfungsobjektes Erstellung eines Arbeitsprogramms bzw. einer Prüfungscheckliste Festlegung des Unterlagen- und Datensammelprozesses Prüfungsdurchführung Auftaktgespräch a. Vorstellung der Teilnehmer b. Überprüfung des Prüfungsplans c. Prüfungseinschränkungen d. Prüfungsmethoden und -techniken e. Berichterstattung f. Festlegen des Interviewplans g. Bestätigung des Schlussgesprächs h. Weitere Gespräche während der Prüfung Arbeitspapiere Prüfungsarten Sonderprüfungen Compliance-Untersuchungen Projektprüfungen durch die Interne Revision Informationsquellen und Prüfungsnachweise Informationsbeschaffung und Datensammlung a. Interview (Prüfungsgespräch) b. Beobachtung von Aktivitäten c. Prüfung von Dokumenten und Dateien d. Analyse und Bewertung e. Verifizierung und Validierung Prüfungsrisiko und Wesentlichkeit Auswahl von Prüfungselementen (Stichproben) Prüfungsabschluss Ergebnisabstimmung Schlussgespräch Revisionsberichte Inhalt und Gestaltung des Revisionsberichts

10 Inhaltsverzeichnis Formulierung von Beanstandungen Klassifikation von Beanstandungen Gesamtbewertung von Prüfungen Berichtskritik Follow-up Standards zum Follow-up und Wirksamkeit des Prozesses Adressatenkreis Eskalationsmechanismus Externe Beanstandungen Technische Prozessunterstützung Betroffene zu Beteiligten machen Beratungsaktivitäten der Internen Revision Informelle Beratung und Gremieneinbindung Formelle Beratungsaufträge Projektbegleitende Beratung Berichtswesen Abseits der Prüfungsberichte Jahresbericht Standards Adressaten Transparenz und Offenheit Inhalte des Jahresberichts Quartalsberichte Qualitätsmanagement in der Internen Revision Einleitung Qualitätsorientierte Steuerungsprozesse Kontrollen Interne Qualitätsmessungen aufgrund von Kennzahlen Interne Qualitätsreviews Externe Quality Assessments Beurteilung durch den Abschlussprüfer Berichterstattung Literaturverzeichnis Stichwortverzeichnis Die Autoren